不满支持论坛，安全人员连续公布三个 WordPress 插件漏洞
被曝含 0day 漏洞的插件是 Yuzo Related Posts 和 Yellow Pencil Visual Theme Customizer，目前这两个插件已下架，开发人员建议用户尽快将涉及插件移除。
近日，有安全研究人员连续在 Plugin Vulnerabilities 平台上，对外公布了 3 个 WordPress 外挂程式的 0day 漏洞，将 10 万个 WordPress 网站于陷于安全风险中。相关研究人员在公布这些漏洞时，提到他们只是为了 *** WordPress 支持论坛版（WordPress Support Forum）的版主行为。只要版主停止不当行为，他们会立即终止对外揭露 0day 漏洞。
被揭露漏洞的 3 个 WordPress 插件分别是 Social Warfare、Yuzo Related Posts 和 Yellow Pencil Visual Theme Customizer。其中，Warfare 是个社交网站分享插件，有超过 6 万个 WordPress 网站安装了该插件。研究人员在 3 周前公布了 Social Warfare 的安全漏洞，插件开发人员即时将它修补了。
另外两个插件就没这么幸运了。可用来自动找出相关文章的 Yuzo Related Posts 原本拥有 6 万个安装数量，可自定义主题的 Yellow Pencil Visual Theme Customizer 则有 3 万个安装数量，这两个插件都都惹来了攻击，目前已在 WordPress 插件商店下架，插件开发人员还建议用户应尽快将所安装的版本移除。
据了解，原本安全人员在公开漏洞前，会给开发者一定的缓冲时间。而这次漏洞曝光，研究人员故意不遵循责任揭露，直接对外公开这些 WordPress 插件漏洞。他们声称目的是为了 *** WordPress 支持论坛版主的不当行为。这些版主明知有些热门插件含有漏洞，却未通知相关的开发人员。版主们甚至会联手隐瞒插件的安全问题，为了推广特定安全服务而阻拦用户得到其它帮助。
这次漏洞接连曝光事件，看起来很像是 Plugin Vulnerabilities 平台与 WordPress 支持论坛之间的恩怨而引发的。前者不仅是为 WordPress 打造，定位更是专门对抗 WordPress 插件漏洞的服务。但不论如何，原本应该是维护 WordPress 安全的事件，目前却已危及到了众多 WordPress 网站的安全。
（稿源：开源中国，封面源自 *** 。）
“不满支持论坛，安全人员连续公布三个 WordPress 插件漏洞” 的相关文章
微软曝光 Nimbuspwn 漏洞组合 可在 Linux 本地提权部署恶意软件
近日名为 Nimbuspwn 的漏洞组合被曝光，可以让本地攻击者在 Linux 系统上提升权限，部署从后门到勒索软件等恶意软件。微软的安全研究人员在今天的一份报告中披露了这些问题，并指出它们可以被串联起来，在一个脆弱的系统上获得 root 权限。 Nimbuspwn 存在于 networkd-dis...
基于800个恶意 NPM 包的大规模供应链攻击
Hackernews 编译，转载请注明出处： 一个名为“RED-LILI”的攻击者发布了近800个恶意模块，与正在进行的针对 NPM 软件包库的大规模供应链攻击活动联系紧密。 以色列安全公司 Checkmarx 说: “通常，攻击者使用一个匿名的一次性 NPM 帐户发动攻击。”“这一次，攻击...
超过 350 万俄罗斯互联网用户的账户被攻破 增长速度冠绝全球
Surfshark的一项研究显示，自3月开始入侵乌克兰以来，俄罗斯账户被攻破的次数比2月多136%。反过来，乌克兰在黑客攻击中充当受害者的场景比战争前的那个季度少67%。这些数字很可能是由于黑客组织Anonymous在冲突开始时宣布它将特意针对俄罗斯的事实。 sandr Valentij说。”泄...
攻击者利用 DeFi 投票漏洞卷走 Beanstalk 近 1.82 亿美元加密货币
区块链分析公司 Peck Shield 于周日上午发布警告称，一名攻击者设法从 Beanstalk Farms 中提取了价值约 1.82 亿美元的加密货币。据悉，作为一个旨在平衡不同加密货币资产供需的去中心化金融（DeFi）项目，攻击者利用了 Beanstalk 的“多数投票治理系统”，这也是诸多...
卡巴斯基调查：30% 的人认为使用跟踪软件来监视伴侣是正常的
据Techspot报道，根据卡巴斯基的一项调查，30%的人认为使用跟踪软件来监视他们的伴侣是正常的。跟踪软件是一类允许一个人监视另一个人的软件，通常是在目标的移动设备上安装该软件，而他们并不知情。这类应用程序通常伪装成家长控制应用程序或防盗解决方案，可以监控互联网活动，跟踪用户的行踪，录制音频和视频...
因未能披露挖矿对业务的影响，英伟达被罚 550 万美元
美国证券交易委员会 (SEC) 5月6日发布声明，称对芯片制造商英伟达的指控，双方已达成一致，英伟达承认未能充分披露挖矿对其游戏业务的影响，同意支付550万美元的罚款。 此前，SEC认为，从 2017 年开始，已有越来越多的用户使用英伟达生产的游戏显卡（GPU） 来挖掘加密货币，但在2018财年的...
评论列表
发表评论
